Human Risk y Background Checks en España: la guía de referencia 2026

¿Qué es el Human Risk y qué papel juegan los background checks en España?

El Human Risk es el riesgo operativo, financiero y reputacional que una organización asume a través de las personas que contrata: candidatos que falsean su currículum, directivos con conflictos de interés no declarados o empleados con antecedentes incompatibles con su función. Un background check (verificación de antecedentes) es la herramienta con la que una empresa gestiona ese riesgo antes de que se materialice, comprobando de forma proporcionada y legal la identidad, la trayectoria y la integridad de un candidato.

En España, gestionar el Human Risk no es solo una cuestión de seguridad, sino de cumplimiento normativo: la Constitución, el Estatuto de los Trabajadores, el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD) limitan estrictamente qué puede comprobarse y cómo. Validato ayuda a empresas que operan en España a diseñar procesos de screening que reducen el Human Risk sin infringir estos límites.

Leer más: Human Risk en España: qué es y cómo lo gestionan las empresas con background checks

¿Qué es exactamente un background check y cuándo debe hacerlo una empresa en España?

Un background check es un proceso estructurado de verificación previo a la contratación (o durante la relación laboral) que confirma la identidad del candidato, su historial académico y profesional, y, cuando el puesto lo justifica, su situación penal y financiera. No existe una obligación legal general de realizarlo en España, salvo en sectores concretos (seguridad privada, banca, actividades con menores).

La pregunta que debe hacerse cualquier empresa española antes de lanzar un check no es “¿qué información puedo obtener?”, sino “¿qué información es necesaria y proporcionada para este puesto en concreto?”. Este principio de proporcionalidad, derivado del artículo 18 de la Constitución Española y del artículo 4.2.c del Estatuto de los Trabajadores, es la base de todo el marco legal español en la materia.

Leer más: Qué es un background check y cuándo es obligatorio (o recomendable) en España

¿Es legal en España pedir el certificado de antecedentes penales a un candidato?

Solo en casos concretos: los antecedentes penales son una categoría especial de datos (artículo 10 RGPD) y, como regla general, un empleador español no está legitimado para exigirlos, salvo que exista una norma específica que lo autorice para ese puesto. El consentimiento del candidato, por sí solo, no basta para justificar la petición.

Existen sectores con habilitación legal clara, como la seguridad privada (artículo 28.1.e de la Ley 5/2014), la función pública o los roles sujetos a normativa de blanqueo de capitales. Fuera de estos casos, pedirlo es un riesgo real: la Agencia Española de Protección de Datos (AEPD) sancionó a Amazon Road Transport Spain con 2.000.000 € (expediente PS-00267-2020) por exigir este certificado a repartidores sin base legal, y el Tribunal Supremo (Sentencia 435/2022, de 12 de mayo) confirmó que ni siquiera una empresa de seguridad privada puede recabarlo por su cuenta: la verificación corresponde al Ministerio del Interior en la fase de habilitación.

Leer más: Certificado de antecedentes penales en España: qué puede exigir (y qué no) un empleador

¿Cómo se solicita el certificado de antecedentes penales y cuánto cuesta?

Solo el propio candidato puede solicitarlo, nunca el empleador directamente. Se tramita en la sede electrónica del Ministerio de Justicia (sede.mjusticia.gob.es) con Cl@ve o certificado digital, o de forma presencial, y tiene un coste simbólico, en torno a 3-4 € según la tasa vigente (modelo 790), con emisión inmediata en formato digital si no hay antecedentes que verificar.

Cuando el candidato ha residido en otro país de la Unión Europea en los últimos años, la solicitud activa automáticamente una consulta a través de ECRIS (European Criminal Records Information System), lo que puede alargar el plazo hasta 30 días. Para terceros países, el candidato debe solicitar el certificado directamente ante las autoridades de ese país, habitualmente con apostilla o legalización consular.

Leer más: Cómo solicitar el certificado de antecedentes penales en España: pasos, coste y plazos

¿Es obligatorio el certificado de Delitos de Naturaleza Sexual para trabajar con menores?

Sí, es un requisito legal obligatorio, no solo una buena práctica. Desde la Ley Orgánica 8/2021 de protección integral a la infancia y la adolescencia frente a la violencia (LOPIVI), cualquier profesión, oficio o actividad, remunerada o voluntaria, que implique contacto habitual y regular con menores exige este certificado, expedido de forma gratuita por el Registro Central de Delincuentes Sexuales y de Trata de Seres Humanos.

Esta figura es el equivalente español más cercano a los “certificados especiales” que existen en otros países europeos para proteger a menores y personas vulnerables. La AEPD aclara que la exigencia solo procede cuando los menores son destinatarios principales de la actividad, no cuando puedan estar presentes de forma meramente incidental.

Leer más: Certificado de Delitos de Naturaleza Sexual: la LOPIVI y el trabajo con menores en España

¿Puede una empresa comprobar la solvencia financiera de un candidato en España?

De forma directa, no: a diferencia de otros países europeos, España no tiene un registro público de deudas consultable por terceros, y el acceso a los ficheros privados de solvencia como ASNEF o RAI está legalmente restringido a entidades que ya mantienen una relación de crédito con el interesado (artículo 20.1.e LOPDGDD). Un empleador que consulta el ASNEF de un candidato se expone a sanción: la AEPD multó con 70.000 € (reducidos a 42.000 € por pago voluntario, expediente EXP202103933) a una empresa que lo hizo antes de una entrevista.

La vía legal para verificar la integridad financiera de un candidato a un puesto con responsabilidad presupuestaria (CFO, tesorería, compras) es el Registro Público Concursal (publicidadconcursal.es), gratuito y plenamente público, que muestra si la persona estuvo implicada en un concurso de acreedores como administrador o particular.

Leer más: ASNEF, RAI y Registro Público Concursal: qué puede consultar (y qué no) un empleador en España

¿Puede una empresa revisar las redes sociales de un candidato antes de contratarlo?

Depende de la plataforma y de su relación con el puesto: los perfiles profesionales y públicos como LinkedIn pueden compararse con el CV del candidato, pero los perfiles privados (Instagram, Facebook, TikTok) están, según la propia AEPD, fuera de los límites de un proceso de selección salvo que exista una vinculación clara, documentada y proporcionada con el puesto.

La AEPD, en su guía “La protección de datos en las relaciones laborales”, señala expresamente que un candidato no está obligado a permitir que la empresa investigue sus redes sociales, ni siquiera cuando el contenido es público, y que solicitar acceso de “amistad” para ver contenido privado no es admisible. Buscar sin un criterio definido también eleva el riesgo de descubrir, y de que influya de forma inconsciente en la decisión, datos protegidos como la religión, la orientación sexual o el embarazo (categorías especiales del artículo 9 RGPD).

Leer más: Redes sociales en el proceso de selección: qué dice la AEPD sobre revisar el perfil de un candidato

¿Qué dicen el RGPD, la LOPDGDD y la AEPD sobre los background checks?

El RGPD y la LOPDGDD exigen que cualquier dato recabado sobre un candidato sea lícito, informado, proporcionado al puesto y conservado solo durante el tiempo necesario; la AEPD es la autoridad que supervisa y sanciona su cumplimiento en España. En la práctica, esto significa informar siempre al candidato sobre qué se va a comprobar, por qué y durante cuánto tiempo se conservarán los datos, antes de iniciar cualquier verificación.

El incumplimiento no es una infracción menor: el artículo 83 del RGPD permite multas de hasta 20 millones de euros o el 4 % de la facturación anual global de la empresa, y los dos casos de la AEPD citados en esta página (Amazon Road Transport Spain y el expediente EXP202103933) demuestran que España aplica estas sanciones de forma efectiva, no solo teórica.

Leer más: RGPD, LOPDGDD y AEPD: el marco legal de los background checks en España

¿Se pueden verificar referencias laborales sin el consentimiento del candidato?

No. Llamar a antiguos empleadores sin que el candidato lo sepa y haya dado su conformidad expresa constituye una comunicación ilícita de datos personales a un tercero y una vulneración de su derecho a la intimidad. El candidato debe facilitar él mismo la persona de contacto y autorizar la llamada.

Una vez autorizada, la conversación debe limitarse al desempeño y comportamiento profesional del candidato: las preguntas sobre salud, planificación familiar, ideología política o vida privada no están permitidas y pueden constituir, además, una infracción muy grave por discriminación.

Leer más: Referencias laborales en España: por qué necesita el consentimiento del candidato

¿Qué es el certificado de empresa y sustituye a una referencia laboral?

No: el certificado de empresa (regulado en el artículo 298 de la Ley General de la Seguridad Social) es un documento puramente objetivo (fechas de contratación, categoría profesional, bases de cotización y causa del cese) que el trabajador necesita para tramitar su prestación por desempleo ante el SEPE. No contiene ninguna valoración sobre el desempeño.

A diferencia de otros países europeos, España no tiene la tradición legal de una referencia escrita cualitativa. Por eso, la entrevista telefónica de referencias, siempre con consentimiento previo del candidato, es en el mercado español la herramienta más fiable para validar el desempeño real de una persona, mucho más que cualquier documento.

Leer más: Certificado de empresa vs. referencia laboral: la diferencia que todo reclutador en España debe conocer

¿Qué controles adicionales necesitan los directivos (C-Level) y las personas con responsabilidad pública (PEP)?

Los puestos de alta dirección y consejo requieren una Due Diligence reforzada que va más allá del CV: verificación de la trayectoria profesional y académica, análisis de conflictos de interés, cotejo contra listas de sanciones internacionales y análisis de la cobertura mediática y de filtraciones (“Leak Papers”) sobre la persona.

Cuando el candidato es una Persona con Responsabilidad Pública (PEP), definida en el artículo 14 de la Ley 10/2010 de prevención del blanqueo de capitales, la diligencia debe ser aún mayor. El Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales (SEPBLAC), la unidad de inteligencia financiera española, recuerda que no existe una lista de sanciones propia: las empresas deben cotejar contra las listas oficiales de la Unión Europea y de Naciones Unidas.

Leer más: Background checks para C-Level y PEP en España: Due Diligence reforzada

¿Cuánto tiempo tarda un background check en España, incluyendo candidatos que han vivido en el extranjero?

Un check estándar en España (certificado de antecedentes penales y comprobaciones de identidad y formación) suele completarse en 24 a 48 horas cuando el candidato colabora activamente. Los plazos se alargan cuando intervienen terceros, antiguas empresas, universidades, administraciones extranjeras, o cuando el candidato ha residido fuera de España.

Para antecedentes penales de otros países de la UE, la consulta vía ECRIS puede tardar hasta 30 días; para países fuera de la UE, el plazo depende de cada consulado y puede ser considerablemente mayor. Por eso conviene planificar el screening de perfiles internacionales con más margen que el de candidatos con una trayectoria puramente española.

Leer más: Cuánto tarda un background check en España: plazos nacionales e internacionales

¿Qué riesgos y sanciones corre una empresa que no cumple la normativa al hacer un background check?

Los riesgos son tanto económicos como reputacionales: sanciones de la AEPD de hasta 20 millones de euros o el 4 % de la facturación global (artículo 83 RGPD), reclamaciones del propio candidato por discriminación en el acceso al empleo, y el daño de imagen de una empresa señalada públicamente por prácticas de selección invasivas.

Los dos casos reales citados en esta página, los 2.000.000 € de Amazon Road Transport Spain por antecedentes penales sin base legal y los 42.000 € por consultar el ASNEF de un candidato, muestran que la AEPD investiga y sanciona activamente este tipo de prácticas en el mercado español, con independencia del tamaño de la empresa.

Leer más: Sanciones de la AEPD por background checks ilegales: casos reales en España

¿Conviene externalizar el background check a un proveedor especializado como Validato?

Para la mayoría de las empresas, sí: un proveedor especializado aporta procesos estandarizados, conocimiento actualizado del marco legal español y acceso a fuentes de verificación (registros, universidades, antiguos empleadores) de forma más rápida y con menor riesgo de incumplimiento que una gestión puramente interna. Validato, como proveedor global de background checks, combina esta estandarización con el conocimiento local necesario para operar dentro del marco de la AEPD, el RGPD y la LOPDGDD.

Al evaluar un proveedor en España conviene exigir tres cosas: un contrato de encargado del tratamiento conforme al artículo 28 del RGPD, certificación ISO 27001 (y, si el proveedor trabaja con Administración Pública, alineación con el Esquema Nacional de Seguridad), y servidores dentro de la UE/EEE o garantías adecuadas si los datos se procesan fuera.

Leer más: Externalizar el background check en España: qué exigir a su proveedor

En resumen

Un background check en España debe ser siempre proporcionado, informado y limitado a lo estrictamente necesario para el puesto: el candidato controla su propio certificado de antecedentes penales, los ficheros de solvencia como ASNEF están fuera del alcance del empleador, no existe una referencia laboral escrita obligatoria, y cualquier verificación en redes sociales debe justificarse por el puesto, no por curiosidad. La AEPD sanciona activamente los excesos, con multas que ya han alcanzado los 2 millones de euros en el mercado español. Un proceso bien diseñado, a menudo apoyado por un proveedor especializado como Validato, convierte el Human Risk en una ventaja competitiva en lugar de en un pasivo legal.

Preguntas rápidas

¿El candidato debe dar su consentimiento para un background check en España? El consentimiento informado es casi siempre necesario, pero no es suficiente por sí solo: la empresa debe además demostrar que la verificación es proporcionada al puesto.

¿Validato realiza background checks para empresas fuera de España? Sí, Validato es un proveedor global y adapta cada proceso de verificación al marco legal del país donde se contrata al candidato.

¿Qué certificado necesito para contratar a alguien que trabajará con menores? El Certificado de Delitos de Naturaleza Sexual, obligatorio por la LOPIVI y gratuito, solicitado por el propio candidato ante el Ministerio de Justicia.

¿Cuánto cuesta un background check profesional en España? Varía según la profundidad del check (identidad, formación, antecedentes penales, referencias, integridad financiera) y el perfil de riesgo del puesto; Validato ofrece paquetes adaptados a cada nivel de riesgo.

¿Quiere revisar su proceso de background checks en España?

Validato puede analizar en una llamada de 30 minutos si su proceso actual de selección cumple con el RGPD, la LOPDGDD y los criterios de la AEPD, y qué verificaciones adicionales tendrían sentido según el riesgo de cada puesto.

Fuentes citadas en esta página

Agencia Española de Protección de Datos (AEPD) — expediente PS-00267-2020 (Amazon Road Transport Spain) y expediente EXP202103933
AEPD — guía “La protección de datos en las relaciones laborales” y FAQ sobre antecedentes penales en el ámbito laboral
Tribunal Supremo, Sentencia 435/2022, de 12 de mayo de 2022
Ministerio de Justicia — sede electrónica, certificado de antecedentes penales y certificado de Delitos de Naturaleza Sexual
Boletín Oficial del Estado — Constitución Española (art. 18), Estatuto de los Trabajadores (RDL 2/2015), LOPDGDD (LO 3/2018), Ley 10/2010, Ley 5/2014, LOPIVI (LO 8/2021), Ley General de la Seguridad Social (RDL 8/2015)
Registro Público Concursal (publicidadconcursal.es)
SEPBLAC — Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales